ACN benedice Crosetto: cyber militare in pace, regia delle crisi resta civile

📌 In Sintesi

• ACN considera il DDL 2028 pienamente coerente con l’architettura nazionale e accetta che la Difesa conduca operazioni cibernetiche difensive in Italia e all’estero anche in tempo di pace.
• La separazione non consegna però alla Difesa la cybersicurezza nazionale: ACN resta coordinatore delle crisi cyber su vasta scala e il Nucleo per la cybersicurezza conserva un ruolo centrale.
• Quacivi porta in Senato numeri inediti: 1.922 incidenti in nove mesi, 72.000 allertamenti, 45 zero-day scoperti e una roadmap nazionale fino a 152.000 GPU H100 equivalenti nel 2028.

Andrea Quacivi ha fatto una cosa politicamente molto più importante di una normale audizione tecnica: ha tolto dall’equivoco il rapporto tra Agenzia per la cybersicurezza nazionale e Difesa. Davanti alla Commissione Affari esteri e Difesa del Senato, il direttore generale dell’ACN ha definito il disegno di legge 2028 sul rafforzamento delle capacità militari “pienamente coerente” con l’architettura nazionale costruita dal decreto 82 del 2021. Tradotto dal linguaggio istituzionale: l’Agenzia non considera un’invasione di campo il fatto che il Capo di Stato maggiore della Difesa diventi autorità cyber militare e possa pianificare e condurre operazioni cibernetiche difensive in Patria e all’estero anche in tempo di pace. Ma Quacivi ha contemporaneamente piantato un paletto altrettanto chiaro: la Difesa ottiene lo spazio operativo militare, non la cybersicurezza civile del Paese, mentre coordinamento delle crisi, NIS2, resilienza, scrutinio tecnologico e raccordo interistituzionale restano dentro l’architettura guidata da Palazzo Chigi e ACN. È il compromesso con cui lo Stato prova a trasformare anni di sovrapposizioni in una catena di responsabilità.

Quacivi chiude il falso dilemma tra ACN e Difesa

Nell’audizione del 13 ottobre davanti alla 3ª Commissione del Senato Quacivi ricostruisce l’architettura nazionale attraverso quattro pilastri: resilienza e sicurezza cibernetica affidate all’ACN, repressione dei reati informatici principalmente alla Polizia postale, difesa e sicurezza militare al Ministero della Difesa, ricerca informativa agli Organismi di informazione. È una separazione apparentemente elementare che negli ultimi anni è stata invece continuamente sfumata dal dibattito pubblico. La riforma cyber che aveva aperto il confronto tra ACN, Difesa e apparati di intelligence viene ora ricomposta dentro una formula istituzionale: cooperazione senza sovrapposizione. L’ACN non arretra dal proprio ruolo, ma riconosce formalmente che esiste uno spazio cibernetico nel quale la responsabilità è militare e nel quale lo Strumento deve poter operare con una propria catena di comando.

Leggi anche: Pane e Crosetto: il cyber torna militare, la sovranità resta straniera

La Difesa potrà operare in Italia e all’estero anche in tempo di pace

Il passaggio che conta è scritto direttamente nell’articolo 7 del DDL 2028. Il Capo di Stato maggiore della Difesa diventa autorità cyber del comparto militare e deve garantire, anche in tempo di pace, la tutela dello spazio cibernetico di interesse nazionale per la difesa e la sicurezza militare attraverso la pianificazione e conduzione di operazioni cibernetiche difensive in Patria e all’estero. Non è una formula cosmetica. Il cyberspazio militare viene definito attraverso hardware, software, dati, connessioni fisiche ed elettromagnetiche, sistemi OT, ICS, piattaforme, sensori e relazioni logiche e cognitive anche oltre i confini nazionali. Il DDL parla espressamente di operazioni difensive; la Strategia digitale della Difesa 2026-2030 va però più avanti sul piano strategico e prevede capacità full-spectrum, cioè offensive, difensive e di exploitation, fin dal tempo di pace. Confondere i due livelli sarebbe sbagliato, ma ignorarne la convergenza sarebbe altrettanto ingenuo: la Difesa italiana sta costruendo la cornice giuridica e operativa per trattare definitivamente il cyber come dominio militare permanente e non come capacità da attivare soltanto quando scoppia formalmente una guerra.

Crosetto prende il dominio militare ma non la regia delle crisi nazionali

È qui che l’audizione diventa interessante anche rispetto alla lettura di una vittoria totale della Difesa. Quacivi chiarisce che ACN e Ministero sono entrambe autorità nazionali per la gestione delle crisi informatiche su vasta scala, ma con attribuzioni differenti: resilienza del Paese per l’Agenzia, difesa dello Stato per il Dicastero, mentre ad ACN spetta il coordinamento. Il Piano nazionale per le crisi cyber in preparazione dovrebbe funzionare secondo una logica di “supporto” e “responsabilità primaria”, perché nel dominio digitale non è possibile tracciare confini netti come su una carta geografica. Al centro rimangono Nucleo per la cybersicurezza e CISR. Il DPCM del 22 aprile 2026 disciplina inoltre la gestione unitaria delle crisi che coinvolgono la sicurezza nazionale. È una risposta concreta alla domanda già emersa nel confronto sul nuovo perimetro della cybersicurezza con Luca Nicoletti di ACN: i confini digitali non coincidono più con quelli geografici e quindi la competenza non può dipendere soltanto da dove si trova fisicamente il server attaccato.

Cinquantasette militari sono già dentro ACN

La cooperazione non è soltanto sulla carta. Quacivi rivela che 57 militari hanno già preso servizio presso l’Agenzia, su un contingente massimo previsto di 70 unità e con permanenza fino a cinque anni. Presso ACN opera inoltre una struttura di collegamento con lo Stato maggiore della Difesa. Il dato è politicamente significativo perché mostra quanto sia artificiale descrivere oggi i due apparati come blocchi separati in competizione permanente. La contaminazione istituzionale è già stata costruita e continuerà ad aumentare. È inoltre imminente un DPCM che rafforzerà lo scambio informativo fra ACN e Difesa sui soggetti NIS essenziali e importanti che incidono sull’efficienza dello Strumento militare o sulla sicurezza militare dello Stato. Questo significa che la NIS2, già entrata nella fase di vigilanza, ispezioni e sanzioni, diventa anche una sorgente strutturata di informazioni utilizzabili per comprendere quanto il sistema produttivo civile sia interdipendente dalla capacità militare nazionale.

Gli incidenti triplicano ma una parte dell’esplosione è NIS2

I numeri portati al Senato sono enormi e vanno letti senza propaganda. Nei primi nove mesi del 2026 ACN ha rilevato 3.271 eventi cyber contro 2.729 nell’intero 2025; 1.922 sono stati classificati come incidenti con impatto confermato, contro 615 in tutto l’anno precedente. A prima vista sembrerebbe un’esplosione verticale della minaccia, ma da gennaio è entrato pienamente in funzione il nuovo sistema di notifica NIS2: circa 21.500 soggetti, in larga maggioranza privati, ricadono oggi nella disciplina e oltre 1.500 notifiche sono già arrivate all’Agenzia. Una parte sostanziale dell’aumento misura quindi anche ciò che prima lo Stato non vedeva. Il confronto con gli altri indicatori lo conferma. Gli attacchi hacktivisti DDoS sono stati più di 500 ma risultano in calo del 35% rispetto allo stesso periodo del 2025 e con impatti generalmente limitati; le vittime ransomware registrate sono 149, sostanzialmente stabili. Il problema italiano resta molto meno cinematografico: credenziali rubate, phishing, vulnerabilità non corrette e sistemi lasciati esposti.

ACN vede 45.000 asset a rischio e scopre 45 zero-day

La fotografia operativa è forse ancora più interessante dei dati sugli attacchi. Nei primi nove mesi il monitoraggio CSIRT ha individuato quasi 45.000 asset e servizi a rischio, oltre 3.200 potenzialmente compromessi e prodotto quasi 72.000 comunicazioni di allertamento, oltre a più di mille alert pubblici. Nel primo semestre gli avvisi preventivi erano già arrivati a 43.675, come mostrava il monitoraggio ACN sulle minacce e sui falsi colloqui LinkedIn; in tre mesi il volume è quindi cresciuto di altre decine di migliaia di segnalazioni. Ancora più rilevante è l’attività di scrutinio sul Perimetro di sicurezza nazionale cibernetica: oltre cento procedimenti nel 2026, più della metà con test specifici, avrebbero consentito all’Agenzia di individuare 45 vulnerabilità zero-day, 35 delle quali ad alta severità. È qui che ACN rivendica la propria natura tecnica: non soltanto regolatore NIS2, ma soggetto che deve trovare vulnerabilità prima che diventino strumenti nelle mani di un avversario.

L’Italia vuole 152.000 H100 equivalenti ma la sovranità resta appesa ai chip stranieri

Poi arriva il dato che merita quasi un articolo autonomo. Quacivi afferma che ACN è promotore, principale finanziatore e quindi tra i proprietari della AI Factory IT4LIA, per la quale indica l’integrazione di 32.000 GPU NVIDIA H100. Megaride, altra infrastruttura promossa e finanziata dall’Agenzia, dispone invece di 28.000 CPU e 340 acceleratori GPU ed è descritta come il secondo HPC italiano dopo Leonardo. La roadmap verso la AI Gigafactory europea “Large” partirebbe dagli attuali 52.000 H100 equivalenti, aggiungendone 40.000 nel 2027 fino ad arrivare complessivamente a 152.000 nel 2028. È un salto gigantesco di capacità computazionale e conferma che ACN non vuole limitarsi alla compliance: vuole possedere infrastruttura. Ma dentro la stessa ambizione compare la contraddizione che accompagnerà tutta la sovranità tecnologica italiana. Misurare l’indipendenza nazionale in H100 equivalenti significa costruire autonomia di calcolo utilizzando come unità di riferimento una tecnologia statunitense. Avere il cluster in Italia, controllarne l’accesso e possedere l’infrastruttura aumenta enormemente la libertà operativa; non rende però nazionale la supply chain del silicio. Compute sovereignty e semiconductor sovereignty restano due problemi diversi che anche gli USA hanno con il reshoring dalla Cina.

Continua con:

ACN, Frattasi lascia e Quacivi eredita la guerra interna

Frattasi lascia ACN ma resta il problema della sovranità cibernetica

La pace tra ACN e Difesa non elimina il problema: lo rende finalmente misurabile

L’audizione del 13 ottobre non decreta la scomparsa dell’ACN né consegna la cybersicurezza italiana ai militari. Fa qualcosa di più utile: formalizza il punto nel quale la resilienza civile incontra la difesa militare senza confondersi con essa. Crosetto ottiene un’autorità cyber militare, uno spazio operativo definito e la possibilità di pianificare operazioni difensive anche in tempo di pace e fuori dai confini nazionali. ACN mantiene coordinamento delle grandi crisi, vigilanza NIS2, CSIRT, scrutinio, certificazioni e infrastrutture strategiche. Intelligence e Interno mantengono le rispettive attribuzioni. È una separazione che sulla carta appare ordinata, ma verrà giudicata quando arriverà una crisi reale capace di attraversare contemporaneamente cloud civile, infrastruttura critica, supply chain militare, intelligence e operazioni ostili. È lì che “supporto” e “responsabilità primaria” dovranno smettere di essere formule da DPCM e diventare ordini eseguibili in minuti.

La vera novità politica è quindi meno rumorosa della presunta guerra tra apparati. ACN ha accettato pubblicamente che il cyber militare appartenga alla Difesa e la Difesa accetta di muoversi dentro un sistema nel quale la gestione delle crisi nazionali resta coordinata dalla dimensione civile. Non è una tregua tra Mantovano e Crosetto e non è nemmeno una fusione. È una divisione del potere digitale dello Stato.

Ed è probabilmente l’unica soluzione realistica. Perché una democrazia ha bisogno di un’Agenzia civile che protegga reti, cittadini, imprese e pubbliche amministrazioni, di servizi che raccolgano intelligence, di forze di polizia che perseguano i criminali e di militari capaci di combattere quando il dominio digitale diventa realmente operativo. Il problema comincia soltanto quando uno di questi soggetti pretende di essere tutti gli altri.